Discussion :

[mkabness]

Bonjour,

Je veux créez un site internet afin de délivrée un service destinée à des employés d’un entreprise X. Les employés viennent sur ce site pour s’inscrire afin de bénéficier de ce service.

Alors, n’importe qui peux accéder à mon site web et prétendre qu’il travaille à cette entreprise alors que c'est faux.

Comment peux-je vérifier que ces employés travaillent vraiment à cette entreprise ?

Merci

[XxArchangexX]

Bonsoir,

Il te faut un référentiel, un fichier ou une table qui contient toutes les informations nécessaires, nom + prenom ou numEmployé, une valeur qui identifie de manière unique et sans souci de conflit possible la personne qui s'inscrit.

Si c'est en interne peut être étudier une passerelle avec un référentiel déjà existant dans l'entreprise.

Je ne vois que ce moyen et encore si quelqu'un et vraiment motivé il peut aller sur un réseau social prendre toutes les infos puis faire une tentative d'inscription sachant que la personne y travaille. C'est un peu de la parano mais bon ça dépend le niveau de sécurité exigé.

La sécurité max si tu veux contrôler que la personne qui s'inscrit est bien employée, c'est de faire l'inscription toi même, de générer le login et le mot de passe puis de les transmettre par mail (léger risque) ou en courrier.

[ABCIWEB]

Oui dans tous les cas il te faudra un formulaire d'authentification pour la connexion au site.

[mkabness]

Merci beaucoup pour tes reponses. J'ai quelques doutes sur certain choses

Bonsoir,

Il te faut un référentiel, un fichier ou une table qui contient toutes les informations nécessaires, nom + prenom ou numEmployé, une valeur qui identifie de manière unique et sans souci de conflit possible la personne qui s'inscrit.

J’ai pensé à ça mais le problème est que on peut avoir deux employés de même nom et prénom dans le même entreprise (peut-être rare mais ça peut arriver). J’ai aussi pensé à avoir leur numéro d’employé mais je ne sais pas si une entreprise serait déterminer a donné les numéros unique de leurs employés à n’importe qui.

Si c'est en interne peut être étudier une passerelle avec un référentiel déjà existant dans l'entreprise.

Non ce n'est pas en interne.

La sécurité max si tu veux contrôler que la personne qui s'inscrit est bien employée, c'est de faire l'inscription toi même, de générer le login et le mot de passe puis de les transmettre par mail (léger risque) ou en courrier.

Hmm, ce n'est pas évident si l'entreprise a plus de 10 000 employés. En plus, c’est possible que plusieurs entreprises soient intéressées par mon service. Imaginons que c’est possible de le faire, avec quelles informations vais-je générer le login et mot de passe ?

[mkabness]

Oui dans tous les cas il te faudra un formulaire d'authentification pour la connexion au site.

Oui mais avant que l’employé se connecte il faut qu’il ait un compte sur le site. Pour le faire il est nécessaire qu’il s’inscrive et c’est là où je dois savoir si la personne qui s’inscrit est un employé d’une telle société

[XxArchangexX]

Pour l’authentification le login mdp peut se faire avec une nomenclature structurée, la première lettre du prenom et le nom, s'il y a un doublon tu rajoutes un chiffre 2 par exemple. Si tu laisses ce choix aux employés tu vas te retrouver avec des choses étranges comme dans les jeux vidéos.

Maintenant pour l'autorisation, c'est sûr que le déploiement à grande échelle n'est pas facile mais ce n'est pas magique, si tu ne peux pas te connecter à un référentiel de l'entreprise il faut le créer si cette autorisation est en fonction du statut de la personne (salarié ou non).

Maintenant si tu vends ton service aux entreprises tu vas leurs dire, " il me faut la liste de tous vos employés" je ne pense pas que ça fonctionne, donc tu vends le service et c'est à l'entreprise de gérer les accès comme beaucoup de logiciel pro (je pense à mon domaine, business object ou des logiciels crm).

[mkabness]

Maintenant pour l'autorisation, c'est sûr que le déploiement à grande échelle n'est pas facile mais ce n'est pas magique, si tu ne peux pas te connecter à un référentiel de l'entreprise il faut le créer si cette autorisation est en fonction du statut de la personne (salarié ou non).

Peux-tu expliquer en plus ce paragraphe? Je ne l’ai pas très bien compris.

Maintenant si tu vends ton service aux entreprises tu vas leurs dire, " il me faut la liste de tous vos employés" je ne pense pas que ça fonctionne, donc tu vends le service et c'est à l'entreprise de gérer les accès comme beaucoup de logiciel pro (je pense à mon domaine, business object ou des logiciels crm).

Donc je vends le service à l’entreprise et c’est à l’entreprise de gérer l’accès à ce service.
Peut-être mon problème vient du fait que je veux gérer cet accès au service. Je veux en sorte que l’employer puisse souscrire à ce service même quand il est dans son appart et pas forcément à l’entreprise.
J’ai pensé à une séquence de clés unique (qui peuvent expirer une fois utilisé) de mon service que l’entreprise va acheter et peut donner un à chacun de ses employés qui sont intéressée. Qu’en penses-tu ?

[XxArchangexX]

Oui, rendre un service accessible à une partie d'une population n'est pas le plus simple, comme tu dis sur 20-30 c'est gérable mais quand tu arrives à une population cible de 10.000 ou plus ça devient beaucoup plus complexe si tu n'as pas accès à un référentiel.

Donc je vends le service à l’entreprise et c’est à l’entreprise de gérer l’accès à ce service.

C'est ma vision des choses.

J’ai pensé à une séquence de clés unique (qui peuvent expirer une fois utilisé) de mon service que l’entreprise va acheter et peut donner un à chacun de ses employés qui sont intéressée. Qu’en penses-tu ?

Je ne connais pas le but de ce service, mais s'il n'est utilisé que rarement c'est une idée intéressante, tu peux vendre les clefs à un prix plus bas mais d'un autre côté ça peut devenir une contrainte pour l'entreprise, gestion des stocks de clefs et si un employé est plus gourmand qu'un autre la répartition des clefs donc il faudrait un monitoring du suivi des employés.

Pour une question d'organisation, vendre des "licences" prix de gros ou à l'unicité, pour illustrer une entreprise de 1.000 employés est très intéressé par ton service. Elle achète 500 accès et dans ta base tu bloques le nombre de création de compte pour cette entreprise à 500, et c'est l'entreprise qui décide des comptes.

Edit: après sous une contrainte de confidentialité dans le contrat tu peux proposer un service payant en plus pour mettre en place les accès automatique à partir d'un fichier des employés, ton appli peut prévoir de générer des login mdp vérification à partir de ce fichier par exemple. Même si je ne pense pas que ce soit viable pour des raisons de confidentialité des données côté entreprise.

[mkabness]

Je ne connais pas le but de ce service, mais s'il n'est utilisé que rarement c'est une idée intéressante, tu peux vendre les clefs à un prix plus bas mais d'un autre côté ça peut devenir une contrainte pour l'entreprise, gestion des stocks de clefs et si un employé est plus gourmand qu'un autre la répartition des clefs donc il faudrait un monitoring du suivi des employés.

Et si le service est utilisé souvent est-ce une mauvaise idée ?

Le problème de l’employé gourmand n’est pas trop grave. Car les employés doivent payer pour ce service (peut-être à des prix discount). Donc s’il est gourmand, c’est son argent qui part, à moins que ce service soit proposé librement par l’entreprise. Qu’en pense-tu ?

[XxArchangexX]

Et si le service est utilisé souvent est-ce une mauvaise idée ?

Ce n'est pas l'idée qui est mauvaise, mais pour le vendre aux entreprises après c'est du commercial . De nos jours la plupart des gens veulent du "et hop!" donc il faut bien expliquer qu'ils vont devoir gérer un stock de clefs pour t'en commander ou un système d'alerte quand le nombre de clef atteint un seuil de sécurité.

Le problème de l’employé gourmand n’est pas trop grave. Car les employés doivent payer pour ce service (peut-être à des prix discount). Donc s’il est gourmand, c’est son argent qui part, à moins que ce service soit proposé librement par l’entreprise. Qu’en pense-tu ?

Si c'est l'employé qui paye, ton service à intérêt à être très utile ^_^°. Ou si le service est gratuit pour les employés, de voir avec l'entreprise si un service de blocage, un truc du genre un employé ne peut utiliser le service que 3 fois par mois. On en revient à la première question, est ce que le service est amené à être utilisé souvent ou de manière ponctuel.

[mkabness]

Si c'est l'employé qui paye, ton service à intérêt à être très utile ^_^°. Ou si le service est gratuit pour les employés, de voir avec l'entreprise si un service de blocage, un truc du genre un employé ne peut utiliser le service que 3 fois par mois. On en revient à la première question, est ce que le service est amené à être utilisé souvent ou de manière ponctuel.

Hehe, il le sera
Merci beaucoup pour ton aide. T'as été vraiment cool.